La v26.6.1 se concentre sur l'exploitation d'Access Gate à grande échelle : mises à niveau via le réseau pour les grands parcs, contrôle d'accès tenant compte des protocoles, un ensemble plus large de détections de menaces intégrées et une intégration VPN Tailscale plus poussée.
Points forts
Mises à niveau via le réseau en HTTP(S)
Access Gate peut désormais être mis à niveau via le réseau, ce qui rend les mises à niveau de parc pratiques pour les environnements exécutant plus de 100 appareils ou des déploiements virtualisés. Les paquets de mise à niveau sont récupérés depuis une URL (un serveur local isolé, un serveur hébergé par un partenaire ou le serveur public Trout). Chaque paquet est signé cryptographiquement et vérifié avant une installation A/B. Une mise à niveau échouée revient automatiquement au dernier état connu comme fonctionnel, y compris la sauvegarde antérieure à la mise à niveau.
Règles d'ACL tenant compte des protocoles
Vous pouvez désormais exprimer des conditions d'autorisation et de refus sur des valeurs de protocole spécifiques directement depuis la table d'ACL : par exemple, plafonner une valeur de bobine Modbus ou filtrer les requêtes HTTP par User-Agent. Un éditeur propre à chaque protocole transforme ces conditions en règles de détection, offrant un contrôle fin, par enclave, qui va au-delà du simple accès aux ports. Cela vous permet d'appliquer des limites de sûreté et de sécurité au niveau du procédé, comme le blocage d'une écriture Modbus hors plage.
Contrôle indépendant de l'accès à distance dans les enclaves
Les actifs accessibles uniquement via un accès à distance par proxy (SSH, RDP ou VNC) apparaissent désormais dans Enclave Search et obtiennent leur propre contrôle Remote Access dans l'ACL, géré indépendamment des services réseau. Vous pouvez accorder ou révoquer l'accès à distance par navigateur par enclave, séparément de l'ouverture d'un port. Il s'agit de la gestion des accès à privilèges pour l'OT : les sessions SSH, RDP et VNC sont médiées par Access Gate, autorisées par enclave et auditées, de sorte qu'une équipe de maintenance ou un prestataire tiers n'atteint que les actifs qu'une enclave donnée accorde.
Intégration VPN Tailscale repensée
L'intégration VPN Tailscale a été reconstruite pour la fiabilité. Les réseaux virtuels et les actifs se synchronisent depuis l'API Tailscale, le DNS se résout dans les deux sens entre Tailscale et les réseaux locaux, et les règles de contrôle d'accès s'appliquent de manière cohérente aux flux Tailscale vers local et Tailscale vers Tailscale. Cela cible l'informatique distante et distribuée (sites secondaires, ingénieurs itinérants, charges de travail cloud) : Tailscale gère la connectivité, tandis qu'Access Gate applique la même segmentation, le même contrôle d'accès et le même audit aux flux Tailscale qu'au trafic sur site.
Rapports d'évaluation des risques automatisés
Les évaluations des risques peuvent désormais être exportées sous forme de documents PDF structurés générés directement à partir de vos données de mesures de contrôle, en utilisant un modèle personnalisable. Le rapport est généré à partir des données de contrôle actuelles plutôt que compilé à la main, couvrant les référentiels CMMC L2, NIS2, ISO27001, SOC2, DOH5 et DEC 616/650/750.
Nouvelles détections de menaces
Cette version ajoute une couverture de détection pour plusieurs schémas d'attaque courants, ajustés pour les environnements IT et OT :
- Relais SMB : authentification NTLM sur SMB dirigée vers des hôtes non déclarés comme serveurs SMB, un indicateur fort d'un relais ou d'un terminal malveillant.
- Reverse shell : trafic shell sortant sur des ports suspects et selon des schémas de charge utile connus.
- Utilisation de Telnet : entre zones, vers des actifs critiques, tentatives par force brute et CVE Telnet récentes (encore courant sur les équipements OT/IoT hérités).
- Tor et tunnellisation DNS : règles de schéma de trafic pour les canaux d'exfiltration anonymisés et dissimulés.
Ces détections sont fournies sous forme de règles intégrées, de sorte que les schémas sont détectés sans écrire de logique de détection personnalisée.
Améliorations mineures
- Suivi de connexion pour les protocoles négociés : FTP, DCE/RPC et OPC-DA, qui négocient un port secondaire.
- Bouton d'alerte de test : générez une alerte de test connue pour valider une destination syslog ou SIEM de bout en bout.
- Transfert DNS HTTPS et SRV : des types d'enregistrements DNS supplémentaires sont désormais transférés, y compris pour les environnements Active Directory.
- Exclusion de sous-réseaux NetFlow : excluez des sous-réseaux sélectionnés pour éviter de compter en double le trafic vu à la fois sur un port d'écoute et un port overlay.
- Tri par IP sur la page de supervision.
Corrections
- L'expiration des règles d'ACL est correctement effacée lorsqu'une règle change, de sorte que les mises à jour prennent effet immédiatement.
- Stabilité améliorée pour les enclaves comportant de très grands ensembles de règles.
- Les options de filtrage des journaux restent visibles lors du changement du filtre par type d'enregistrement.